Une entreprise américaine peut stocker vos données à Toronto et devoir tout de même les remettre

Le CLOUD Act américain ne se soucie pas de l'endroit où un serveur est vissé au sol. Adopté en 2018, il oblige toute entreprise soumise à la juridiction américaine à remettre les données en sa possession lorsqu'un tribunal américain l'ordonne. Cela inclut les données logées dans un centre de données à Toronto ou à Montréal. Un seul fait, et c'est celui-là qui explique pourquoi « résidence des données » et « souveraineté des données » sont devenues, discrètement, deux affirmations différentes — et pourquoi de plus en plus d'acheteurs canadiens demandent aux fournisseurs de prouver la différence plutôt que de la présumer.

L'affirmation que font les fournisseurs, et celle qu'ils évitent

Cherchez « résidence des données Canada IA » et les résultats se ressemblent presque tous : serveurs au Canada, chiffrement au repos, un badge évoquant SOC 2 ou ISO 27001. Tout cela peut être vrai, et une organisation peut tout de même être exposée à une citation à comparaître américaine. La portée du CLOUD Act est définie par la possession, la garde ou le contrôle — un critère juridique lié à l'entreprise, pas au pays.

Le département de la Justice des États-Unis a été direct là-dessus dans ses propres directives sur la loi, précisant qu'elle s'applique aux données contrôlées par les fournisseurs visés, peu importe où ces données sont stockées. Une entreprise peut avoir son siège à Seattle, louer un centre de données en Ontario pour satisfaire l'exigence de résidence d'un client canadien, et être tout de même légalement tenue de remettre ces mêmes données en vertu d'un mandat américain. L'autorité contraignante repose sur la juridiction corporative, pas sur la géographie du serveur.

Les régulateurs canadiens n'ont pas hésité à nommer le risque. La Commission d'accès à l'information du Québec, dans ses directives liées aux exigences d'évaluation des transferts transfrontaliers de la Loi 25, demande aux organisations d'évaluer non seulement où les renseignements personnels sont stockés, mais quel régime juridique gouverne l'entité qui les détient. Cette distinction est au cœur d'une évaluation des facteurs relatifs à la vie privée bien faite pour les transferts hors Québec. C'est aussi l'étape que beaucoup de listes de vérification en approvisionnement sautent, parce que « centre de données canadien » sonne comme si la question était déjà réglée.

Il existe une version plus pointue de cette question qu'un lecteur sceptique pourrait soulever, et elle mérite une réponse franche : est-ce qu'un traité d'entraide juridique change quelque chose à tout ça? Les traités d'entraide judiciaire (MLAT) permettent aux autorités canadiennes de demander des données par un canal officiel de gouvernement à gouvernement, et certains observateurs présument que ce canal remplace le CLOUD Act pour les sujets canadiens. Ce n'est pas le cas. Le CLOUD Act a été rédigé précisément pour donner aux procureurs américains une voie unilatérale plus rapide qu'une demande d'entraide juridique — c'est même la raison d'être de la loi, le département de la Justice s'étant plaint pendant des années que les demandes d'entraide adressées à des fournisseurs étrangers prenaient des mois. Les données d'une entreprise canadienne logées chez un fournisseur de juridiction américaine peuvent toujours être atteintes directement par un mandat américain, sans que les autorités canadiennes soient jamais mises au courant, traité d'entraide ou non.

Ce que la souveraineté exige réellement

La souveraineté, dans le sens que les équipes d'approvisionnement devraient lui donner, exige que trois éléments s'alignent : où les données sont stockées, où l'inférence se produit, et de quel pays les tribunaux ont autorité sur l'entreprise qui exploite l'infrastructure. En manquer un seul, et les deux autres ne protègent pas pleinement l'organisation.

Le chiffrement au repos est souvent présenté comme la solution. Ça ne l'est pas, et il vaut la peine d'expliquer pourquoi précisément. Des données chiffrées sur disque ne sont pas utilisables — un modèle ne peut pas raisonner sur du texte chiffré, donc le système doit le déchiffrer à un moment donné dans le pipeline pour exécuter l'inférence. Si l'entreprise qui exploite ce pipeline est sous juridiction américaine, une ordonnance valide l'oblige à produire les données dans l'état où cette entreprise peut y accéder, chiffrement ou non.

L'autorité contraignante dans le CLOUD Act, c'est la juridiction sur l'entreprise, pas l'emplacement du serveur. C'est la phrase qui vaut la peine d'être répétée à une équipe juridique, à un RSSI ou à un responsable de la protection des renseignements personnels désigné en vertu de la Loi 25. La bonne question n'est pas où se trouve le centre de données. C'est qui peut être légalement contraint de l'ouvrir, et devant quels tribunaux.

Une deuxième objection, moins souvent soulevée mais qui mérite une réponse directe : qu'en est-il d'une contestation du mandat? United States v. Microsoft Corp. — l'affaire de 2018 que le CLOUD Act a été rédigé pour rendre caduque — reposait exactement sur cette question, et le Congrès l'a réglée en faveur du gouvernement avant même que la Cour suprême puisse se prononcer. Une entreprise peut toujours contester une ordonnance précise en vertu des dispositions de courtoisie de la loi, en arguant que la divulgation entrerait en conflit avec le droit du pays où résident les données. Mais c'est un choix de l'entreprise de contester devant les tribunaux, à ses propres frais, une fois l'ordonnance déjà émise. Ce n'est pas un obstacle structurel à la divulgation, et rien dans le contrat entre un acheteur canadien et son fournisseur ne peut forcer ce dernier à livrer ce combat.

Là où les plateformes d'IA canadiennes se distinguent réellement

C'est ici que le marché a commencé à se scinder, et il vaut la peine d'être concret plutôt que de prendre la parole d'un fournisseur pour acquise. Augure, une plateforme conçue à Toronto et commercialisée auprès d'organisations canadiennes réglementées, stocke les données de ses clients au Canada et exécute l'inférence sur une infrastructure canadienne et auprès de partenaires européens vérifiés sous ententes de rétention nulle — jamais chez des fournisseurs américains —, la capacité européenne servant aussi de relève pour maintenir une haute disponibilité. Augure affirme n'avoir aucune société mère américaine ni aucun investisseur institutionnel américain. C'est une affirmation qu'un acheteur devrait vérifier auprès des registres de constitution, pas seulement sur une page marketing.

Le détail du secours (failover) compte plus qu'il n'y paraît. Une évaluation des facteurs relatifs à la vie privée en vertu de la Loi 25 ne demande pas si un fournisseur est canadien de façon générale. Elle demande précisément où vont les données et sous quel régime juridique, incluant les chemins de sauvegarde et de secours. Un fournisseur qui divulgue clairement un secours dans l'UE donne au responsable de la protection des renseignements personnels quelque chose de concret à évaluer. Un fournisseur qui affirme que tout le traitement reste au Canada, sans préciser les cas de secours, fait une affirmation difficile à vérifier — et pire encore pour le dossier de conformité de l'acheteur si elle se révèle fausse.

D'autres acteurs de l'écosystème canadien de l'IA font des affirmations semblables sur la résidence des données. Cohere, conçue et ayant son siège à Toronto, a fait valoir que l'entraînement de ses propres modèles et une bonne partie de son infrastructure d'inférence échappent aux dépendances infonuagiques étrangères, bien que ses déploiements en entreprise varient selon le contrat du client et le partenaire infonuagique. Dans tous les cas, la distinction sur laquelle les acheteurs doivent insister, c'est la juridiction corporative et la structure de propriété — pas seulement le pays inscrit sur une page d'hébergement.

Il existe une version de la question de la structure corporative que même les équipes d'approvisionnement qui savent poser la question passent souvent sous silence : les chaînes de revendeurs et de sous-traitants. Un fournisseur peut être constitué au Canada, détenu par des intérêts canadiens, et acheminer tout de même les données de ses clients par un sous-traitant de domiciliation américaine pour une fonction aussi banale que l'envoi de courriels, l'analytique ou un outil de soutien à la clientèle. L'obligation d'évaluation de la Loi 25 s'étend à ces transferts en aval, pas seulement à la relation avec le fournisseur principal, ce qui signifie que la question de la constitution doit être posée deux fois — une fois au fournisseur d'IA, une fois à quiconque agit comme sous-traitant derrière lui. C'est dans l'addenda de traitement des données du fournisseur, pas sur sa page d'accueil, que cette chaîne est censée être divulguée.

L'angle de la conformité que personne ne veut assumer seul

La LPRPDE ne nomme pas le CLOUD Act. Elle n'a pas besoin de le faire. Son principe de responsabilité impose déjà à l'organisation qui recueille des renseignements personnels le fardeau de savoir où ces données vont et qui peut y accéder, contractuellement et légalement, une fois qu'elles sont remises à un sous-traitant. La Loi 25 du Québec va plus loin sur le plan procédural, en formalisant l'évaluation des facteurs relatifs à la vie privée pour tout transfert hors province et en exigeant que les organisations documentent les protections juridiques de la juridiction destinataire avant le transfert, pas après qu'un régulateur le demande.

Aucune des deux lois n'oblige une organisation à choisir un fournisseur d'IA exclusivement canadien. Les deux transforment le choix d'utiliser un fournisseur de juridiction américaine pour des données réglementées en une décision de risque documentée plutôt qu'en un choix par défaut. C'est un changement significatif dans la répartition de la responsabilité. C'est aussi une des raisons pour lesquelles les discussions d'approvisionnement qui s'arrêtaient autrefois à « est-ce chiffré » atteignent maintenant régulièrement une question de juridiction que le contentieux, et non les TI, doit approuver.

Le coût pratique de mal gérer cette question ne se traduit pas, la plupart du temps, par une amende. Il se traduit par une évaluation devenue indéfendable. Une évaluation des facteurs relatifs à la vie privée en vertu de la Loi 25 qui indique l'adresse du centre de données canadien d'un fournisseur, mais qui ne demande jamais qui possède l'entreprise, est un document qu'un régulateur peut démolir en un après-midi s'il y a jamais une plainte ou une enquête sur un incident. Les propres directives de la CAI présentent l'évaluation comme une analyse substantielle des protections juridiques dans la juridiction destinataire, pas comme une simple vérification d'emplacement. Une organisation qui a sauté la question de la propriété a produit de la paperasse, pas une évaluation, et cet écart tend à ressortir au pire moment possible — pendant l'examen d'un incident, quand un avocat demande pourquoi personne n'a vérifié.

Rien de tout cela n'est figé. La CAI a signalé une attention soutenue en matière d'application concernant les flux de données transfrontaliers, à travers ses directives et ses décisions publiées, et l'effort du gouvernement fédéral pour moderniser la LPRPDE par le projet de loi C-27 était toujours à l'étude au Parlement lors de la dernière session avant la prorogation. Les règles sur lesquelles une organisation bâtit aujourd'hui ses programmes de conformité ne sont peut-être pas la version finale. L'affirmation de juridiction d'un fournisseur, contrairement au texte d'un projet de loi, tend à être la chose la plus stable à vérifier en ce moment.

À quoi ressemble une affirmation vérifiable

L'écart entre résidence et souveraineté n'est pas abstrait, et il n'est pas difficile à tester. Une équipe d'approvisionnement peut poser trois questions directes à un fournisseur et obtenir des réponses soit vérifiables, soit évasives : où l'entreprise est-elle constituée, qui sont ses investisseurs, et existe-t-il une entente de revente ou d'infrastructure avec une entité de domiciliation américaine, où que ce soit en amont. Augure publie ses réponses à ces questions sur son propre site plutôt que de les laisser à un appel de vente. C'est la norme à laquelle tout fournisseur d'IA canadien qui prétend à la souveraineté — pas seulement à la résidence — devrait être mesuré.

Vérifier la constitution et la propriété n'est pas un exercice exotique, et cela ne nécessite pas de citer le fournisseur lui-même à comparaître. Les registres corporatifs provinciaux et fédéraux publient les dossiers de constitution et, dans bien des cas, l'information sur les administrateurs, pour des frais de recherche modestes. La divulgation des investisseurs est plus mince — les entreprises privées ne sont pas obligées de publier un tableau de capitalisation — ce qui est précisément pourquoi la volonté d'un fournisseur d'énoncer par écrit sa structure de propriété, plutôt que de la laisser à l'inférence à partir d'une recherche au registre, pèse plus lourd que la recherche au registre elle-même.

Quiconque cherche à vérifier cela pour un déploiement précis devrait commencer par augureai.ca et lire directement la documentation d'architecture, plutôt que le texte marketing placé au-dessus.